Datenschutzerklärung

Stand: 04.10.2026

1. Verantwortlicher

Rexity Labs UG (haftungsbeschränkt)
Willighäuser Weg 11, 29320 Südheide, Deutschland
Geschäftsführer: Sunny Singh Thakur
E-Mail: info@rexity.ai · Telefon: +49 174 2471435
Datenschutz-Kontakt: info@rexity.ai. Siehe auch Impressum.

1a. Datenschutzbeauftragte:r

Eine bzw. ein Datenschutzbeauftragte:r ist bei Rexity Labs UG (haftungsbeschränkt) derzeit nicht bestellt. Die gesetzlichen Voraussetzungen nach § 38 BDSG (ständig mit der automatisierten Verarbeitung beschäftigte Personen, Kerntätigkeit besteht in umfangreicher regelmäßiger und systematischer Überwachung oder Verarbeitung besonderer Datenkategorien) sind in der aktuellen Unternehmensphase nicht erfüllt. Sobald die Voraussetzungen eintreten, benennen wir umgehend eine:n Datenschutzbeauftragte:n und veröffentlichen die Kontaktdaten an dieser Stelle.

Für sämtliche datenschutzbezogenen Anfragen steht Ihnen info@rexity.ai zur Verfügung.

1b. Server-Logfiles

Beim Aufruf unserer Website werden durch unseren Hosting-Anbieter (Vercel Inc., siehe §5) automatisiert technische Daten in Server-Logs erfasst, die Ihr Browser an uns übermittelt:

IP-Adresse (anonymisiert nach kurzer Aufbewahrungsdauer)
Datum und Uhrzeit des Zugriffs
Browser-Typ und -Version, Betriebssystem
Aufgerufene URL und HTTP-Status
Referrer-URL (sofern vom Browser übermittelt)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren, stabilen und missbrauchssicheren Bereitstellung unserer Website). Speicherdauer: in der Regel 30 Tage, danach automatische Löschung; im Falle eines Sicherheitsvorfalls länger bis zur abschließenden Aufklärung. Eine Zusammenführung mit anderen Daten findet nicht statt.

2. Verarbeitete Daten

Kontaktdaten, die Sie uns über Webformulare, WhatsApp oder Telefon mitteilen (Name, E-Mail, Telefonnummer, Unternehmen).
Inhalt Ihrer Nachrichten aus Kontaktformular und Terminbuchung — wird zur Bearbeitung Ihrer Anfrage gespeichert und uns per E-Mail zugestellt (siehe §5.1).
Terminbuchungen (Datum, Uhrzeit, optionale Notizen).
Nachrichten an den KI-Assistenten (Chat) — werden zur Beantwortung verarbeitet; den Verlauf erhalten wir per E-Mail, in einer Datenbank legen wir ihn nicht ab (siehe §4a).
Website-Check: die eingegebene Internetadresse und, wenn Sie den Bericht anfordern, Ihre E-Mail-Adresse (siehe §4b).
Automatisierungs-Check: Ihre Angaben zu Branche, Teamgröße und Aufgaben und, wenn Sie den Bericht oder einen Rückruf anfordern, Ihre E-Mail-Adresse beziehungsweise Name und Telefonnummer (siehe §4c).
Demo „Vom Posteingang zum Auftrag": ein von Ihnen eingefügter Text (wird nicht gespeichert) und, wenn Sie sich die E-Mails der Demo zusenden lassen, Ihre bestätigte E-Mail-Adresse mit den Terminen der Demo für sieben Tage (siehe §4a).
Bei Sprachgesprächen: Anrufprotokoll. Audioaufzeichnungen nur bei ausdrücklicher Einwilligung.
Technische Daten beim Webseitenbesuch (IP-Adresse, User-Agent, Zeitstempel) — gemäß Art. 6 Abs. 1 lit. f DSGVO zur Sicherheit der Plattform.

3. Zwecke und Rechtsgrundlagen

Vertragsanbahnung und -erfüllung (Art. 6 Abs. 1 lit. b DSGVO): Beantwortung von Anfragen, Terminbuchung.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Sicherheit, Missbrauchserkennung, Qualitätsverbesserung — abgewogen gegen Ihre Interessen.
Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Marketing-Kommunikation, Kontaktaufnahme nach Anforderung eines Berichts (Website-Check, Automatisierungs-Check), E-Mails der Demo an Ihre bestätigte Adresse, Anrufaufzeichnungen.
Rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrungsfristen.

4. WhatsApp und Sprachassistenz

Wenn Sie uns über WhatsApp kontaktieren, verarbeitet Meta Platforms Ireland Ltd. Ihre Nachrichten nach den eigenen Datenschutzbestimmungen. Wir empfangen die Nachricht und speichern eine pseudonymisierte Zusammenfassung. Sie können der Verarbeitung jederzeit widersprechen, indem Sie uns das Wort „STOP" oder „Abmelden" schreiben.

Bei Sprachassistenz weist sich unsere virtuelle Assistenz „Rexona" zu Beginn als KI-System aus. Eine Aufzeichnung erfolgt ausschließlich nach Ihrer ausdrücklichen mündlichen Einwilligung. Andernfalls wird das Gespräch ohne Audioaufzeichnung geführt.

4a. Einsatz von KI auf dieser Website (KI-Richtlinie)

Auf dieser Website setzen wir an fünf Stellen künstliche Intelligenz ein: im KI-Assistenten (Chat), für das Kurzfazit des Website-Checks, in der Demo „Vom Posteingang zum Auftrag", im Automatisierungs-Check (siehe §4c) und bei einzelnen Bildern und Videos. Keine dieser Funktionen trifft Entscheidungen mit rechtlicher Wirkung; eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt, und wir bilden keine Profile.

KI-Assistent (Chat)

Sie schreiben dabei mit einer KI, nicht mit einem Menschen; darauf weisen wir vor Beginn des Chats hin (Art. 50 der EU-KI-Verordnung). Der Assistent beantwortet Fragen zu unseren Leistungen aus den Inhalten dieser Website. Antworten können Fehler enthalten, verbindlich ist nur unser schriftliches Angebot. Der Assistent gibt keine Rechtsberatung; Fragen zu Recht, Rechnungen und Erstattungen beantwortet er mit einem festen Text und verweist an uns. Sie erreichen uns jederzeit auch direkt per E-Mail, Telefon oder WhatsApp; geht es um Ihren konkreten Fall, ein Angebot oder einen Termin, nennt der Assistent diese Wege.

Vor dem Start des Chats können Sie Ihre E-Mail-Adresse angeben; die Angabe ist freiwillig. Geben Sie eine Adresse an, speichern wir sie wie eine Kontaktanfrage, um Ihr Anliegen zu bearbeiten und Sie dazu zu kontaktieren (Art. 6 Abs. 1 lit. b DSGVO). Ohne Adresse speichern wir keine Kontaktanfrage. Die Adresse wird nicht an das Sprachmodell übermittelt. Im Formular können Sie ankreuzen, dass Sie künftig nicht zu Marketingzwecken kontaktiert werden möchten; Werbung per E-Mail senden wir ohnehin nur mit Ihrer ausdrücklichen Einwilligung. Eine Bestätigungs-E-Mail an Sie wird nicht versendet.
Schutz des Formulars vor automatischen Anfragen: Das Startformular des Chats ist durch Cloudflare Turnstile geschützt (siehe §5.1 und §5a); die Prüfung läuft mit und ohne E-Mail-Adresse. Das zugehörige Skript wird erst geladen, wenn Sie das Chat-Fenster mit dem Formular öffnen, nicht schon beim Aufruf der Seite (Art. 6 Abs. 1 lit. f DSGVO).
Ihre Nachrichten und der Verlauf der Unterhaltung, auch aus früheren Unterhaltungen in diesem Browser, werden zur Beantwortung an ein Sprachmodell übermittelt. Im Regelfall antwortet Microsoft Azure OpenAI (Microsoft Ireland Operations Ltd.); ist dieser Dienst nicht erreichbar, kann ersatzweise Amazon Bedrock (Amazon Web Services EMEA SARL) antworten.
Chat-Verlauf an uns: Den Verlauf Ihrer Unterhaltung erhalten wir per E-Mail (Versand über Brevo), sobald Sie die Seite verlassen: mit Ihrer E-Mail-Adresse, wenn Sie eine angegeben haben, damit wir Ihre Anfrage bearbeiten können (Art. 6 Abs. 1 lit. b DSGVO), sonst ohne Adresse zur Auswertung der Fragen an den Assistenten (Art. 6 Abs. 1 lit. f DSGVO). In einer Datenbank legen wir den Chat-Inhalt nicht ab; die E-Mail liegt in unserem Postfach (siehe §7). Protokolliert werden daneben technische Daten ohne Inhalt (Zeitpunkt, Dauer, Verbrauch, Fehlercodes). Zum Schutz vor Missbrauch zählen wir die Anfragen je IP-Adresse: im Arbeitsspeicher des Servers und als gekürzter, mit einem geheimen Zusatz gebildeter Prüfwert (Hash) für höchstens 15 Minuten in einem Zähler (Art. 6 Abs. 1 lit. f DSGVO).
Verlauf in Ihrem Browser: Damit der Assistent den Zusammenhang behält, wird der Verlauf (höchstens 60 Nachrichten) im lokalen Speicher Ihres Browsers abgelegt und dort nach 30 Tagen verworfen. Mit „Verlauf löschen" im Chat-Fenster entfernen Sie ihn sofort (siehe §5a).
Bitte geben Sie im Chat keine Gesundheitsdaten oder andere besonders schützenswerte Angaben ein.

Kurzfazit im Website-Check

Der Website-Check selbst (Abruf, Messung, Punktwerte) arbeitet nach festen Regeln und ist keine KI. Nur das Kurzfazit unter dem Ergebnis formuliert ein Sprachmodell; darauf weisen wir dort hin. Das Modell erhält dafür den Namen der geprüften Website, die Punktwerte, die Anzahl der Prüfpunkte je Status und höchstens sechs offene Prüfpunkte mit Bezeichnung und Messwert, keine Angaben zu Ihrer Person (siehe §4b). Das Kurzfazit ist eine automatische Momentaufnahme, keine Empfehlung und keine Rechtsberatung.

Demo „Vom Posteingang zum Auftrag" (Seite „KI-Assistent fürs Büro")

Die Demo ist eine Sandbox: ein erfundener Betrieb mit erfundenen Monteuren und einem Kalender, in dem ein Agent Kunden-E-Mails bearbeitet (eine neue Anfrage einplanen, eine Terminänderung zur Freigabe vorlegen, an Termine erinnern). Betrieb, Monteure und Termine sind nicht echt. Dringlichkeit, Monteur, Zeitfenster und alle Daten entscheidet fester Code, kein Sprachmodell.

Die Beispiele und ihre Auswertung sind Teil der Seite. Wenn Sie ein Beispiel starten, wird nichts an unseren Server übermittelt und kein Sprachmodell aufgerufen.
Eigener Text: Fügen Sie einen eigenen Text ein (höchstens 1.500 Zeichen), übermitteln wir ihn zur Auswertung an ein Sprachmodell: an Amazon Bedrock (Amazon Web Services EMEA SARL) und, wenn dieser Dienst nicht antwortet, ersatzweise an Microsoft Azure OpenAI (Microsoft Ireland Operations Ltd.). Das Modell liest daraus Anliegen, Gewerk, Name, Kontakt, Adresse und gewünschten Termin und formuliert die Terminbestätigung. Darauf, dass ein Sprachmodell den Text auswertet, weisen wir vor der Eingabe hin (Art. 50 der EU-KI-Verordnung). Steht kein Sprachmodell zur Verfügung, werten feste Regeln den Text auf unserem Server aus; das Ergebnis ist dann als „vereinfachte Auswertung" gekennzeichnet.
Keine Speicherung des Textes: Wir verarbeiten den eingefügten Text nur, um die Antwort zu erzeugen. Wir speichern ihn nicht: Er steht in keiner Datenbank und in keinem Protokoll. Protokolliert werden technische Daten ohne Inhalt (Zeitpunkt, Dauer, Länge des Textes, Art der Auswertung). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Vorführung unserer Leistung auf Ihren Wunsch).
Die Sandbox liegt in Ihrem Browser: Kalender, Freigaben, Postausgang und Protokoll der Demo speichern wir nicht bei uns, sondern im lokalen Speicher Ihres Browsers (siehe §5a), höchstens sieben Tage; „Demo zurücksetzen" löscht sie.
E-Mails der Demo nur an Ihre eigene, bestätigte Adresse (freiwillig): Die Demo zeigt jede E-Mail auf dem Bildschirm. Nur wenn Sie Ihre eigene E-Mail-Adresse eintragen, senden wir Ihnen eine kurze E-Mail mit einem Bestätigungslink, der 48 Stunden gilt (Versand über Brevo); bis zur Bestätigung speichern wir die Adresse nicht. Nachdem Sie auf der Seite hinter dem Link bestätigt haben, speichern wir sieben Tage lang Ihre E-Mail-Adresse, die Sprache und zu den Terminen, die der Agent in Ihrer Demo gebucht hat, Datum, Zeitfenster, Vorname des Monteurs und Anliegen. Damit senden wir Ihnen die E-Mails der Demo (Terminbestätigung, die als „Kopie an den Monteur (Demo)" gekennzeichnete Kopie, die Erinnerung am Vortag um 9:00 Uhr), höchstens 10 am Tag und 30 in der Woche. Kunde und Monteur sind in der Demo Rollen: An andere Adressen als Ihre bestätigte senden wir nichts. Eine Anfrage legen wir dabei nicht an, und wir schreiben Sie darüber hinaus nicht an. Rechtsgrundlage ist Ihre Einwilligung, die Sie mit der Bestätigung erteilen (Art. 6 Abs. 1 lit. a DSGVO).
Abmelden und Löschen: Jede E-Mail der Demo enthält einen Abmelde-Link. Wir löschen Adresse und Termine, sobald Sie sich abmelden oder in der Demo „Adresse entfernen" oder „Demo zurücksetzen" wählen, spätestens nach sieben Tagen. Nach einer Abmeldung über den Link behalten wir sechs Monate lang einen Prüfwert (Hash) der Adresse, damit an sie keine weitere Demo-E-Mail geht. Für die Begrenzung der E-Mails führen wir Zähler unter einem mit einem geheimen Zusatz gebildeten Prüfwert der Adresse, höchstens acht Tage.
Bitte keine echten Kundendaten: Für die Demo brauchen Sie keine echten Daten; die Beispiele genügen. Bitte fügen Sie keine Gesundheitsdaten und keine anderen besonders schützenswerten Angaben ein.
Schutz vor automatischen Anfragen und Kontingent: Bevor ein eigener Text ausgewertet oder ein Bestätigungslink angefordert wird, prüft Cloudflare Turnstile, ob die Anfrage von einem Menschen stammt (siehe §5.1 und §5a); das Skript wird erst geladen, wenn Sie „Eigener Text" wählen oder das Feld für Ihre E-Mail-Adresse verwenden. Weil jede Auswertung Kosten verursacht, sind eigene Texte begrenzt: je IP-Adresse und insgesamt pro Tag. Dafür speichern wir bis zum Ende des Tages einen gekürzten, mit einem geheimen Zusatz gebildeten Prüfwert (Hash) Ihrer IP-Adresse mit der Zahl der Auswertungen, nicht die Adresse selbst, sowie Tageszahlen ohne Bezug zu Besuchern (Art. 6 Abs. 1 lit. f DSGVO).

Ort der KI-Verarbeitung und Umgang der Anbieter mit den Daten

Die KI-Verarbeitung erfolgt in europäischen Rechenzentren. Microsoft Azure OpenAI ist in der EU-Datenzone bereitgestellt; sie umfasst die EU-Mitgliedstaaten und kann nach Angaben von Microsoft auch EFTA-Staaten wie Norwegen und die Schweiz einschließen (für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission, Norwegen gehört zum EWR). Amazon Bedrock nutzen wir mit einem EU-Inferenzprofil; nach Angaben von Amazon bleiben Anfragen an ein solches Profil in den AWS-Regionen der Europäischen Union.
Wir verwenden Ihre Chat-Nachrichten, die Ergebnisse des Website-Checks und die in der Demo eingefügten Texte nicht, um KI-Modelle zu trainieren. Nach Angaben von Microsoft werden Eingaben und Antworten nicht zum Training von Modellen verwendet und nicht an OpenAI weitergegeben. Nach Angaben von Amazon werden Eingaben und Ausgaben nicht zum Training von Modellen verwendet und nicht an die Anbieter der Modelle weitergegeben.
Microsoft prüft Inhalte automatisiert auf Missbrauch; auffällige Inhalte können dafür befristet in der Azure-Region der Ressource (EU) gespeichert und von Microsoft-Beschäftigten im Europäischen Wirtschaftsraum geprüft werden. Auch Amazon kann Inhalte automatisiert auf Missbrauch prüfen; nach eigenen Angaben speichert Amazon Bedrock Eingaben und Ausgaben dabei standardmäßig nicht.
Für den Automatisierungs-Check nutzen wir Gemini über Google Cloud Vertex AI mit einem Endpunkt in einer EU-Region (Niederlande). Nach Angaben von Google findet die Verarbeitung durch das Modell bei einem solchen Endpunkt in Rechenzentren in Mitgliedstaaten der EU statt. Wir verwenden Ihre Angaben nicht, um KI-Modelle zu trainieren; nach den Dienstbedingungen von Google Cloud verwendet Google Kundendaten nicht ohne vorherige Erlaubnis oder Weisung zum Trainieren von KI-Modellen. Google kann Eingaben zur Erkennung von Missbrauch protokollieren und hält Eingaben und Antworten nach eigenen Angaben zur Beschleunigung bis zu 24 Stunden im Arbeitsspeicher vor, nicht dauerhaft gespeichert.
Einen direkten Zugang zu Modell-Anbietern außerhalb Europas nutzen wir für diese Funktionen nicht.

KI-generierte Bilder und Videos

Bilder und Videos auf unseren Demo-Seiten können teilweise oder vollständig KI-generiert sein; das ist dort angegeben. Illustrationen, die mit KI erzeugt oder bearbeitet wurden, kennzeichnen wir am Bild mit dem Hinweis „Bild teilweise bearbeitet oder KI-generiert; dient nur der Veranschaulichung.". Besucherdaten werden dafür nicht verarbeitet.

4b. Website-Check

Mit dem Website-Check prüfen wir eine von Ihnen eingegebene Internetadresse automatisch. Die Prüfung ist kostenlos und ohne Anmeldung nutzbar. Die Punktwerte, ein Kurzfazit und jeden einzelnen Prüfpunkt mit seinem Messwert zeigen wir auf der Seite; eine E-Mail-Adresse ist dafür nicht nötig. Auf Wunsch senden wir dasselbe Ergebnis zusätzlich als Bericht per E-Mail: als Kopie zum Aufbewahren oder Weitergeben.

Schutz vor automatischen Anfragen: Bevor eine Prüfung startet oder ein Bericht angefordert wird, prüft Cloudflare Turnstile, ob die Anfrage von einem Menschen stammt (siehe §5.1 und §5a). Das zugehörige Skript wird geladen, sobald Sie das Eingabefeld des Website-Checks verwenden. Unser Server lässt das Ergebnis anschließend bei Cloudflare bestätigen und übermittelt dafür das Prüfzeichen und Ihre IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO).
Abruf der Seite: Unser Server ruft die eingegebene Adresse sowie die Dateien robots.txt, sitemap.xml und llms.txt derselben Website ab und wertet den Quelltext aus (zum Beispiel Seitentitel, Kontaktwege, Links zu Impressum und Datenschutzerklärung, eingebundene fremde Dienste). Für die Kontaktwege liest er zusätzlich bis zu vier dort verlinkte Seiten derselben Website, deren Linktext oder Adresse nach Kontakt oder Buchung klingt, und fragt die Kopfdaten einiger Bilder und Dateien der Seite ab (Größe, Angaben zum Zwischenspeichern). Der Abruf gibt sich mit der Kennung RexityWebsiteCheck/1.0 (+https://www.rexity.ai/website-check/bot) zu erkennen und beachtet die robots.txt der Website. Betreiber können ihre Website von der Prüfung ausnehmen lassen; wie, steht auf der Seite zum Prüf-Dienst.
Schutzeinstellungen und E-Mail-Domain: Für die Bereiche „Sicherheit der Website" und „Schutz Ihrer E-Mail-Domain" wertet unser Server die Antwort der eingegebenen Seite zusätzlich aus (Kopfzeilen, die Cookies des ersten Aufrufs, Quelltext). Er ruft außerdem einmal die http-Adresse derselben Website und einmal die Datei /.well-known/security.txt ab, baut einmal eine verschlüsselte Verbindung zu dieser Website auf, um Zertifikat und Protokollversion zu lesen, und fragt im öffentlichen DNS die Einträge MX, SPF, DMARC und CAA der zugehörigen Domain ab. Diese DNS-Abfragen enthalten nur den Namen der Domain und gehen an die DNS-Server, die unser Server verwendet. Weitere Adressen ruft er nicht auf, er sendet nichts ab, und die Cookies der geprüften Website speichert er nicht. Nennt eine Seite selbst ihre WordPress-Version, ruft unser Server die aktuelle Versionsnummer bei api.wordpress.org ab; dabei wird nichts über die geprüfte Website und nichts über Sie übermittelt, nur die Anfrage unseres Servers selbst, und die Antwort halten wir einen Tag vor. Beide Bereiche beschreiben von außen sichtbare Einstellungen; sie sind kein Sicherheitsaudit.
Tempo-Messung: Die Ladezeit lassen wir über die PageSpeed-Insights-Schnittstelle von Google (Google LLC, USA) messen. Übermittelt wird dafür nur die eingegebene Adresse; Ihre IP-Adresse und andere Angaben zu Ihnen erhält Google dabei von uns nicht, denn der Aufruf kommt von unserem Server. Google verarbeitet die Adresse in eigener Verantwortung. Antwortet die Schnittstelle nicht, messen wir selbst ohne Browser (Antwortzeit des Servers, Größe der Seite, Bilder, blockierende Dateien); die Adresse geht auch dann vorher an die Schnittstelle. Zusätzlich fragen wir bei der Schnittstelle des Chrome UX Report von Google ab, ob für die eingegebene Adresse oder die Website Felddaten vorliegen (Messwerte echter Chrome-Nutzer der letzten 28 Tage in zusammengefasster Form). Auch dabei wird nur die geprüfte Adresse übermittelt.
Öffentliche Verzeichnisse: Bis wann eine Domain registriert ist, lesen wir aus der öffentlichen Registrierungsauskunft (RDAP) der Registrierungsstelle, die für die Domain-Endung zuständig ist; welche das ist, entnehmen wir einer Liste der IANA. Übermittelt wird nur der Name der Domain, und wir lesen aus der Antwort nur das Ablaufdatum, keine Angaben zu Inhabern. Ob der Hosting-Anbieter einer Website mit Nachweis für Strom aus erneuerbaren Quellen verzeichnet ist, fragen wir beim Verzeichnis der Green Web Foundation ab (Stichting The Green Web Foundation, Amsterdam, Niederlande); übermittelt wird nur der Name der geprüften Website. Beide Abfragen kommen von unserem Server und enthalten keine Angaben zu Ihnen.
Google-Position und Backlinks (nur im Bericht per E-Mail und nur, wenn diese Abfrage aktiv ist): Diese beiden Angaben stehen nicht im Ergebnis auf der Seite. Erst wenn Sie den Bericht angefordert und Ihre E-Mail-Adresse über den Bestätigungslink bestätigt haben, fragen wir beim Datenanbieter DataForSEO OÜ (Tallinn, Estland) zwei Dinge ab: die Google-Ergebnisse für den Suchbegriff aus Gewerk und Ort, falls Sie beides angegeben haben, und eine Zusammenfassung der Backlinks der geprüften Domain. Übermittelt werden nur dieser Suchbegriff und der Name der Domain, niemals Ihre E-Mail-Adresse oder Ihre IP-Adresse. Damit diese kostenpflichtigen Abfragen begrenzt bleiben, zählen wir je bestätigter E-Mail-Adresse höchstens zwei Abfragen pro Tag und fünf pro Kalenderwoche. Dafür speichern wir nicht die Adresse selbst, sondern einen mit einem geheimen Zusatz gebildeten Prüfwert für höchstens acht Tage (Art. 6 Abs. 1 lit. f DSGVO). Der Bericht enthält einen Link, über den Sie das Ergebnis samt diesen Angaben sieben Tage lang auf unserer Seite öffnen können. Der Link trägt die geprüfte Adresse und die Angaben in verschlüsselter Form, keine E-Mail-Adresse; wer ihn weitergibt, gibt auch diese Angaben weiter.
Kurzfazit: Ist ein Sprachmodell verfügbar, formuliert es aus den Werten des Ergebnisses ein Kurzfazit; darauf weisen wir beim Ergebnis hin. Die KI-Verarbeitung erfolgt in europäischen Rechenzentren: über Amazon Bedrock mit EU-Inferenzprofil, ersatzweise in der europäischen Datenzone von Microsoft Azure (siehe §4a und §5.1). Das Modell erhält den Namen der geprüften Website, die Punktwerte, die Anzahl der Prüfpunkte je Status und höchstens sechs offene Prüfpunkte mit ihrer Bezeichnung und ihrem Messwert; Messwerte, die Text der geprüften Seite wiedergeben, lassen wir dabei weg. Es erhält nicht den Text der Seite und keine E-Mail-Adresse. Andernfalls erscheint ein fest formulierter Text.
Zwischenspeicher und Begrenzung der Anfragen: Das Prüfergebnis halten wir höchstens 24 Stunden vor, damit dieselbe Adresse nicht mehrfach gemessen wird; wer dieselbe Adresse in dieser Zeit prüft, erhält dieses Ergebnis. Es enthält weder Ihre IP-Adresse noch eine E-Mail-Adresse. Zur Begrenzung der Anfragen verarbeiten wir Ihre IP-Adresse für einige Minuten im Arbeitsspeicher des Servers. Außerdem gilt ein Tageskontingent: je IP-Adresse fünf neue Prüfungen pro Tag. Dafür speichern wir Ihre IP-Adresse nicht im Klartext, sondern als mit einem geheimen Zusatz gebildeten Prüfwert (Hash) bis zum Ende des Tages. Für alle Besucher zusammen gelten 200 neue Prüfungen pro Stunde und 1.000 pro Tag. Ist ein Kontingent erreicht, antwortet der Website-Check, dass es ausgeschöpft ist (Art. 6 Abs. 1 lit. f DSGVO).
Protokoll der geprüften Adressen: Für jede neue Prüfung halten wir je Tag fest: die geprüfte Adresse (Protokoll, Name der Website und Pfad, ohne den Abfrage-Teil hinter dem Fragezeichen), wie oft sie an diesem Tag geprüft wurde, über welchen Weg (Formular, Schnittstelle oder MCP), den Gesamtwert sowie den ersten und den letzten Zeitpunkt. Dieses Protokoll enthält keine IP-Adresse, keine E-Mail-Adresse und keine Angaben zu der Person, die geprüft hat. Wir nutzen es für unsere Auswertung und zum Schutz vor Missbrauch; die Einträge bewahren wir sechs Monate auf (Art. 6 Abs. 1 lit. f DSGVO). Wer eine Website betreibt, kann sie weiterhin von der Prüfung ausnehmen lassen (E-Mail an info@rexity.ai, siehe Seite zum Prüf-Dienst).
Abruf durch Programme und KI-Assistenten: Eine Kurzfassung des Ergebnisses (Punktwerte, je Bereich ein Satz, die Zahl der Prüfpunkte je Status und das Kurzfazit, ohne die einzelnen Prüfpunkte) lässt sich auch über eine Schnittstelle abrufen (GET /api/check und /mcp), zum Beispiel durch einen KI-Assistenten, den Sie nutzen; wofür sie genutzt werden darf, steht in den Nutzungsbedingungen der Schnittstelle. Dabei verarbeiten wir keine Angaben zu Ihrer Person außer der IP-Adresse des abrufenden Systems: Sie dient der Begrenzung der Anfragen und wird dafür als gekürzter, mit einem geheimen Zusatz gebildeter Prüfwert (Hash) für höchstens zwei Stunden in einem Zähler gespeichert (Art. 6 Abs. 1 lit. f DSGVO). Ein Bericht per E-Mail lässt sich auf diesem Weg nicht anfordern; Google-Position und Backlinks gibt es dort nicht.
Bericht per E-Mail (freiwillig, mit Einwilligung in die Kontaktaufnahme): Der Bericht enthält dasselbe wie das Ergebnis auf der Seite und zusätzlich Google-Position und Backlinks, wenn diese Abfrage aktiv ist (siehe oben). Fordern Sie ihn an, senden wir zuerst eine kurze E-Mail mit einem Bestätigungslink an die angegebene Adresse (Versand über Brevo, siehe §5.1; Art. 6 Abs. 1 lit. b DSGVO). Der Link gilt 48 Stunden. Erst wenn Sie ihn öffnen und dort den Versand bestätigen, senden wir den Bericht, und erst dann speichern wir E-Mail-Adresse, geprüfte Adresse und das Ergebnis in Kurzform wie eine Kontaktanfrage (siehe §7). Eine nicht bestätigte Adresse speichern wir nicht; sie wird nur für den Versand der Bestätigungs-E-Mail verarbeitet.
Kontaktaufnahme nach Anforderung des Berichts: Mit der Anforderung des Berichts willigen Sie ein, dass wir Sie per E-Mail zu Ihrem Ergebnis und zu passenden Leistungen kontaktieren (Art. 6 Abs. 1 lit. a DSGVO); darauf weisen wir direkt am Formular und in beiden E-Mails hin. Wer das nicht möchte, fordert den Bericht nicht an; das vollständige Ergebnis auf der Seite bleibt ohne E-Mail-Adresse nutzbar. Die Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel per E-Mail an info@rexity.ai.
Ergebnis-Karte zum Weitergeben: Zu jedem Ergebnis gibt es eine Seite, die sich weitergeben lässt (www.rexity.ai/website-check/ergebnis/, gefolgt vom Namen der geprüften Website). Sie zeigt ausschließlich den Namen der Website, den Gesamtwert, die sechs Bereichswerte und den Zeitpunkt der Prüfung, keine einzelnen Prüfpunkte. Die Seite kann jede Person öffnen, die diese Adresse kennt oder den Namen der Website einsetzt. Sie ist für Suchmaschinen gesperrt (noindex) und zeigt ein Ergebnis höchstens 24 Stunden nach der Prüfung; die Karte löst selbst keine Prüfung aus. Wer eine Website betreibt und sie vom Website-Check ausnehmen lässt (E-Mail an info@rexity.ai), für dessen Website zeigen wir auch keine Karte (Art. 6 Abs. 1 lit. f DSGVO).
Terminfenster: Öffnen Sie unter dem Ergebnis mit „Ergebnis besprechen“ das Terminfenster, tragen wir eine kurze Zeile zu Ihrem Ergebnis (geprüfte Adresse, Gesamtwert, Datum der Prüfung und die Bereiche mit einem Angebot) in das Feld „Worum geht es?“ ein. Sie können sie ändern oder löschen; übermittelt wird sie nur, wenn Sie den Termin anfragen.
Nutzungszahlen: Für unsere Auswertung zählen wir pro Tag, wie oft geprüft, ein Bericht angefordert und bestätigt, eine Ergebnis-Karte geöffnet und ein Limit erreicht wurde. Ebenso zählen wir, wie viele Angebote unter Ergebnissen angezeigt und wie oft sie angeklickt wurden und wie viele Terminanfragen diese Zeile zum Ergebnis noch enthielten. Diese Zähler enthalten keine Website, keine E-Mail-Adresse und keine IP-Adresse; wir bewahren sie sechs Monate auf. Die geprüfte Adresse steht nur im davon getrennten Protokoll der geprüften Adressen (siehe oben), das seinerseits keine Angaben zu Besuchern enthält.
Der Website-Check ist eine automatische Momentaufnahme und keine Rechtsberatung. Bitte geben Sie nur Adressen öffentlich erreichbarer Websites ein.

4c. Automatisierungs-Check

Mit dem Automatisierungs-Check beschreiben Sie wiederkehrende Aufgaben Ihres Betriebs und erhalten eine Auswertung: was sich davon automatisieren lässt, und eine Schätzung der Entlastung pro Jahr. Er ist kostenlos und ohne Anmeldung nutzbar. Eine Entscheidung mit rechtlicher Wirkung trifft er nicht.

Was Sie eingeben: Branche und Teamgröße, eine bis sechs Aufgaben mit Bezeichnung, Häufigkeit, Minuten, Zahl der Personen, der Angabe, ob die Aufgabe meist gleich abläuft, den Wegen, auf denen die Informationen ankommen, einer freiwilligen kurzen Beschreibung (höchstens 400 Zeichen je Aufgabe) und, wenn Sie möchten, Ihrem Stundensatz. Beschreibungen von Abläufen können personenbezogene Daten enthalten: Bitte nennen Sie keine Namen von Kunden oder Beschäftigten und keine Gesundheitsdaten. E-Mail-Adressen, Telefonnummern und Kontonummern, die wir an ihrer Form erkennen, entfernen wir vor der Auswertung aus den Texten.
Auswertung durch ein Sprachmodell: Wenn Sie „Auswerten" wählen, übermitteln wir diese Angaben an unseren Server und von dort, ohne den Stundensatz, an ein Sprachmodell: Gemini über Google Cloud Vertex AI (Google Cloud EMEA Limited, siehe §5.1), aufgerufen über einen Endpunkt in einer EU-Region (Niederlande). Das Modell stuft jede Aufgabe ein und formuliert, was eine Automatisierung übernehmen würde, was bei Ihrem Team bleibt und welche Fragen wir in einem Gespräch stellen würden. Darauf weisen wir vor der Auswertung und am Ergebnis hin (Art. 50 der EU-KI-Verordnung). Stunden, Anteile und Beträge berechnet nicht das Modell, sondern unser Programm nach der auf der Seite veröffentlichten Regel aus Ihren eigenen Zahlen. Steht das Modell nicht zur Verfügung, werten feste Regeln auf unserem Server aus; am Ergebnis steht, welcher Weg es war. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Auswertung auf Ihren Wunsch).
Keine Speicherung für die Auswertung: Für die Auswertung selbst speichern wir Ihre Angaben nicht: Sie stehen in keiner Datenbank und in keinem Protokoll; protokolliert werden technische Daten ohne Inhalt (Zeitpunkt, Dauer, Zahl der Aufgaben, Art der Auswertung). Die Antwort an Ihren Browser enthält neben dem Ergebnis Ihre Angaben in verschlüsselter Form (zwölf Stunden gültig), damit die folgenden Schritte ohne Speicherung bei uns auskommen. In Ihrem Browser bleiben Angaben und Ergebnis, bis Sie den Tab schließen (siehe §5a).
Bericht per E-Mail (freiwillig): Fordern Sie den Bericht an, senden wir zuerst eine kurze E-Mail mit einem Bestätigungslink, der 48 Stunden gilt (Versand über Brevo). Bis zur Bestätigung liegen Ihre Angaben und die Auswertung verschlüsselt in unserer Datenbank bereit; der Schlüssel steht nur im Link dieser E-Mail, sodass wir den Eintrag ohne den Link nicht lesen können, und Ihre E-Mail-Adresse steht nicht darin. Nach 48 Stunden wird ein nicht bestätigter Eintrag nicht mehr herausgegeben und spätestens am folgenden Tag gelöscht. Ist die Datenbank nicht erreichbar, trägt stattdessen der Link selbst die Angaben in verschlüsselter Form. Erst nachdem Sie auf der Seite hinter dem Link den Versand bestätigt haben, senden wir den Bericht, speichern Ihre E-Mail-Adresse mit Ihren Angaben und der Auswertung als Anfrage (siehe §7) und werden intern per E-Mail benachrichtigt.
Einwilligung zur Kontaktaufnahme: Mit der Anforderung des Berichts willigen Sie ein, dass wir Sie per E-Mail zu diesem Ergebnis und zu passenden Leistungen kontaktieren (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG); darauf weisen wir am Formular hin. Die Einwilligung können Sie jederzeit widerrufen, zum Beispiel per E-Mail an info@rexity.ai.
Rückruf (freiwillig): Bitten Sie über „Rückruf gewünscht" um einen Anruf, speichern wir Ihren Namen, Ihre Telefonnummer, Ihre Angaben und die Auswertung sofort als Anfrage und werden per E-Mail benachrichtigt, um Sie zu Ihrem Ergebnis anzurufen (Art. 6 Abs. 1 lit. b DSGVO).
Terminfenster: Öffnen Sie aus dem Ergebnis das Terminfenster, tragen wir eine kurze Zeile zu Ihrem Ergebnis (Zahl und Bezeichnungen der Aufgaben, Schätzung) in das Feld „Worum geht es?" ein. Sie können sie ändern oder löschen; übermittelt wird sie nur, wenn Sie den Termin anfragen.
Schutz vor automatischen Anfragen und Kontingent: Vor jeder Auswertung, jeder Berichtsanforderung und jeder Rückruf-Bitte prüft Cloudflare Turnstile, ob die Anfrage von einem Menschen stammt (siehe §5.1 und §5a). Das Skript wird geladen, wenn Sie den letzten Schritt der Eingabe erreichen. Weil jede Auswertung Kosten verursacht, sind Auswertungen begrenzt: je IP-Adresse drei pro Tag, für alle Besucher zusammen 150 pro Tag. Dafür speichern wir bis zum Ende des Tages einen gekürzten, mit einem geheimen Zusatz gebildeten Prüfwert (Hash) Ihrer IP-Adresse mit der Zahl der Auswertungen, nicht die Adresse selbst, sowie Tageszahlen ohne Bezug zu Besuchern. Die Zahl der Berichtsanforderungen je IP-Adresse und je E-Mail-Adresse begrenzen wir im Arbeitsspeicher des Servers (Art. 6 Abs. 1 lit. f DSGVO).
Das Ergebnis ist eine Schätzung auf Basis Ihrer Angaben und der auf der Seite genannten Annahmen. Es ist keine Zusage einer Ersparnis und keine Beratung.

5. Auftragsverarbeiter und Drittanbieter

Mit den nachstehenden Auftragsverarbeitern haben wir, soweit erforderlich, Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO abgeschlossen oder werden diese vor produktivem Einsatz abschließen. Eine aktuelle Übersicht der Auftragsverarbeiter und der eingesetzten KI-Systeme (Verarbeiter- und KI-Register) führen wir intern; auf Anfrage an info@rexity.ai senden wir sie Ihnen zu.

5.1 Aktive Anbieter (heute eingesetzt)

Vercel Inc. (Sitz in den USA) — Auftragsverarbeiter. Hosting der Website und der Server-Funktionen (Kontaktformular, Terminbuchung, KI-Assistent, Website-Check samt Schnittstelle für Programme, Automatisierungs-Check, Demo „Vom Posteingang zum Auftrag" samt täglichem Erinnerungslauf) sowie Schutz vor Überlastung und Angriffen (Firewall). Die Seiten werden über das weltweite Auslieferungsnetz von Vercel bereitgestellt; die Server-Funktionen werden in Frankfurt am Main ausgeführt. Verarbeitet werden Anfrage-Metadaten (IP-Adresse, Browser, aufgerufene Adresse) und die Inhalte der Anfragen im Durchlauf; Vercel kann dabei Daten auch in den USA verarbeiten. Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Auftragsverarbeitungsvertrag (Vercel-DPA) mit EU-Standardvertragsklauseln als Bestandteil unseres Vertrags.
Vercel Web Analytics (Vercel Inc.) — Reichweitenmessung ohne Cookies. Erfasst werden je Seitenaufruf Zeitpunkt, aufgerufene Seite, verweisende Seite, ungefähre Herkunft (Land, Region, Stadt), Gerätetyp, Betriebssystem und Browser. Nach Angaben von Vercel werden Besucher dabei nur über einen aus der Anfrage gebildeten Hash-Wert unterschieden, der nach 24 Stunden verworfen wird; eine Wiedererkennung über mehrere Websites oder Tage findet nicht statt. Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (Auswertung der Nutzung unserer Website in zusammengefasster Form).
Supabase Pte. Ltd. (Sitz in Singapur; Datenbank in der EU, Region Irland) — Auftragsverarbeiter. Speicherung der Angaben aus Kontaktformular, Terminbuchung, dem Startformular des KI-Assistenten und bestätigten Berichtsanforderungen des Website-Checks (Name, E-Mail, Telefonnummer, Anliegen, Wunschtermin; beim KI-Assistenten nur die E-Mail-Adresse, falls angegeben; beim Website-Check E-Mail-Adresse, geprüfte Adresse und Ergebnis in Kurzform). Außerdem bestätigte Berichtsanforderungen und Rückruf-Bitten des Automatisierungs-Checks mit Ihren Angaben und der Auswertung (siehe §4c) sowie, für höchstens sieben Tage, die bestätigte E-Mail-Adresse, die Sprache und die Termine der Demo „Vom Posteingang zum Auftrag" (siehe §4a; Rechtsgrundlage dort Art. 6 Abs. 1 lit. a DSGVO). Dazu technische Zähler ohne Inhalte: Tageszahlen sowie die in §4a, §4b und §4c genannten Prüfwerte (Hash) von IP-Adressen, der Zwischenspeicher der Prüfergebnisse und, verschlüsselt und für höchstens 48 Stunden, noch nicht bestätigte Berichtsanforderungen des Automatisierungs-Checks (siehe §4c). Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, für die Zähler Art. 6 Abs. 1 lit. f DSGVO. Auftragsverarbeitungsvertrag (Supabase-DPA) mit EU-Standardvertragsklauseln als Bestandteil der Nutzungsbedingungen.
Brevo (Sendinblue SAS) (Paris, Frankreich) — Auftragsverarbeiter. Versand der E-Mail-Benachrichtigung über Ihre Anfrage an uns und der Eingangsbestätigung an Sie, der E-Mail mit dem Chat-Verlauf an uns sowie, beim Website-Check und beim Automatisierungs-Check, der Bestätigungs-E-Mail und des Berichts und, in der Demo „Vom Posteingang zum Auftrag", der Bestätigungs-E-Mail und der E-Mails der Demo an Ihre bestätigte Adresse. Verarbeitet werden Name, E-Mail-Adresse und der Inhalt Ihrer Anfrage, des Chat-Verlaufs beziehungsweise des Berichts. Auftragsverarbeitungsvertrag als Anhang der Brevo-Nutzungsbedingungen.
Microsoft Ireland Operations Ltd. (Dublin, Irland) — Auftragsverarbeiter. Microsoft Azure OpenAI als Sprachmodell des KI-Assistenten und ersatzweise für das Kurzfazit des Website-Checks und für eigene Texte in der Demo „Vom Posteingang zum Auftrag", bereitgestellt in der EU-Datenzone (EU-Mitgliedstaaten, ggf. EFTA-Staaten; siehe §4a). Verarbeitet werden Chat-Nachrichten und Verlauf, Name der geprüften Website und Punktwerte beziehungsweise der in der Demo eingefügte Text. Auftragsverarbeitung nach dem Datenschutznachtrag zu den Microsoft-Produktbedingungen (DPA).
Amazon Web Services EMEA SARL (Luxemburg) — Auftragsverarbeiter. Amazon Bedrock mit EU-Inferenzprofil als Sprachmodell (Claude von Anthropic) für das Kurzfazit des Website-Checks, seit 02.10.2026, für eigene Texte in der Demo „Vom Posteingang zum Auftrag", seit 03.10.2026, und ersatzweise für den KI-Assistenten, wenn Microsoft Azure nicht antwortet. Verarbeitet werden Name der geprüften Website und Punktwerte, der in der Demo eingefügte Text beziehungsweise Chat-Nachrichten und Verlauf, in AWS-Regionen der Europäischen Union (siehe §4a). Auftragsverarbeitung nach dem AWS-Datenverarbeitungszusatz (DPA), der Bestandteil der AWS-Nutzungsbedingungen ist und EU-Standardvertragsklauseln für Übermittlungen in Drittländer enthält.
Google Cloud EMEA Limited (Dublin, Irland) — Auftragsverarbeiter. Google Cloud Vertex AI als Sprachmodell (Gemini) für die Auswertung im Automatisierungs-Check. Verarbeitet werden Branche, Teamgröße und Ihre Angaben zu den Aufgaben einschließlich der kurzen Beschreibungen, nicht aber E-Mail-Adresse, Telefonnummer, IP-Adresse oder Stundensatz; aufgerufen wird ein Endpunkt in einer EU-Region (siehe §4a und §4c). Auftragsverarbeitung nach dem Zusatz zur Datenverarbeitung für Google Cloud (Cloud Data Processing Addendum), der Bestandteil der Google-Cloud-Bedingungen ist und Regelungen für Übermittlungen in Drittländer enthält.
Google LLC (USA) — PageSpeed-Insights-Schnittstelle für die Tempo-Messung und Schnittstelle des Chrome UX Report für Felddaten im Website-Check. Übermittelt wird jeweils nur die Adresse der zu prüfenden Website, keine Angaben zu Besuchern (siehe §4b). Google ist dabei nicht unser Auftragsverarbeiter, sondern verarbeitet die Adresse in eigener Verantwortung nach den Nutzungsbedingungen für Google-APIs; eine Verarbeitung in den USA ist möglich.
Cloudflare, Inc. (San Francisco, USA) — Auftragsverarbeiter. Cloudflare Turnstile als Schutz vor automatischen Anfragen (Bot-Schutz) an fünf Stellen: Startformular des KI-Assistenten, Website-Check, Kontaktformular, Automatisierungs-Check und Demo „Vom Posteingang zum Auftrag" (eigener Text und Feld für Ihre E-Mail-Adresse). Das Skript von Cloudflare (challenges.cloudflare.com) wird erst geladen, wenn Sie eines dieser Formulare öffnen oder verwenden, nicht beim bloßen Aufruf einer Seite. Nach Angaben von Cloudflare werden dabei die IP-Adresse, technische Merkmale der Verbindung und des Browsers (TLS-Fingerabdruck, User-Agent) sowie die Kennung und Adresse unserer Website verarbeitet, um Menschen von automatischen Programmen zu unterscheiden, nicht um Personen zu identifizieren oder Profile zu bilden. Formularinhalte erhält Cloudflare nicht. Unser Server lässt das Ergebnis bei Cloudflare bestätigen und übermittelt dafür das Prüfzeichen und die IP-Adresse. Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (Schutz unserer Formulare vor Missbrauch); zum Zugriff auf Ihr Gerät siehe §5a. Cloudflare kann Daten auch in den USA verarbeiten; Auftragsverarbeitung nach dem Cloudflare-Datenverarbeitungszusatz (DPA) mit EU-Standardvertragsklauseln; Cloudflare erklärt darin, den EU-US-Datenschutzrahmen (Data Privacy Framework) einzuhalten. Für die Verbesserung seiner Bot-Erkennung verarbeitet Cloudflare diese Signale nach eigenen Angaben in eigener Verantwortung.
DataForSEO OÜ (Tallinn, Estland) — Abfrage von Suchergebnissen und Backlink-Zahlen für den Bericht des Website-Checks, nur wenn diese Abfrage aktiv ist und erst nach Bestätigung der E-Mail-Adresse. Übermittelt werden nur der Suchbegriff aus Gewerk und Ort und der Name der geprüften Domain, keine E-Mail-Adresse und keine anderen Angaben zu Besuchern (siehe §4b).
Stichting The Green Web Foundation (Amsterdam, Niederlande) — Verzeichnis von Hosting-Anbietern mit Nachweis für Strom aus erneuerbaren Quellen, abgefragt im Website-Check. Übermittelt wird nur der Name der geprüften Website (siehe §4b). Die Stiftung verarbeitet ihn in eigener Verantwortung.
Registrierungsstellen für Domains und IANA — öffentliche Registrierungsauskunft (RDAP) für das Ablaufdatum einer Domain im Website-Check. Abgefragt wird die Stelle, die für die jeweilige Domain-Endung zuständig ist; sie kann ihren Sitz außerhalb der EU haben. Übermittelt wird nur der Name der geprüften Domain (siehe §4b); die Liste der zuständigen Stellen stammt von der IANA (Internet Assigned Numbers Authority, USA).
Schriftarten, Stylesheets und Skripte — werden ausschließlich von unserer eigenen Domain ausgeliefert. Es werden keine Schriftarten von Drittanbietern (z. B. Google Fonts) und keine externen Style- oder Skript-Bibliotheken (z. B. CDNs) nachgeladen. Ausnahme: das Skript von Cloudflare Turnstile, sobald Sie ein geschütztes Formular öffnen oder verwenden (siehe oben). Eingebettete Karten oder Videos fremder Anbieter gibt es auf dieser Website nicht.
GitHub Inc. — Quellcode-Verwaltung; keine Endnutzer-Daten.

5.2 Geplante Anbieter (vor produktivem Einsatz mit AVV)

Meta Platforms Ireland Ltd. — WhatsApp Business API (eingehende Nachrichten, ausgehende Vorlagen). Nicht aktiv. Aktivierung erst nach abgeschlossener WhatsApp-Business-Verifikation.
Vapi / Retell / Twilio (Auswahl ausstehend) — Sprachprovider für die KI-Sprachassistenz „Rexona". Nicht aktiv. Standardmäßig ohne Aufzeichnung; Aufzeichnung nur nach ausdrücklicher Einwilligung.
Sentry oder Datadog (optional) — Fehlerprotokollierung. Nicht aktiv.

5.3 Was wir NICHT einsetzen

Aus Transparenzgründen führen wir auf, was auf dieser Website ausdrücklich nicht zum Einsatz kommt:

Google Analytics, Google Tag Manager, Google Ads-Conversion-Pixel
Meta-Pixel / Facebook-Pixel
LinkedIn Insight Tag
Hotjar, Microsoft Clarity, Mixpanel, Segment, Posthog
Mailchimp, HubSpot, Pipedrive (kein Newsletter, kein CRM mit Endkunden-Daten)
Zoom, Google Meet, Microsoft Teams (Kommunikation läuft per E-Mail oder nach individueller Verabredung)
Cookies zu Werbe- oder Marketing-Zwecken
Google Fonts oder andere extern gehostete Schriftarten – sämtliche Schriftarten werden lokal von unserem eigenen Server ausgeliefert
Visitor-Tracking- bzw. De-Anonymisierungsdienste (z. B. ZoomInfo, Leadfeeder, Sopro)

Sämtliche Schriftarten, Stylesheets und Skripte dieser Website werden von unserer eigenen Domain geladen (Hosting: Vercel, siehe §5.1). Beim Aufruf der Seite werden hierfür keine Verbindungen zu Google, zu externen Schriftanbietern oder zu Tracking-Diensten hergestellt. Die einzige Ausnahme ist das Skript von Cloudflare Turnstile: Es wird erst geladen, wenn Sie eines der geschützten Formulare öffnen oder verwenden (siehe §5.1).

Sollte sich an dieser Aufstellung etwas ändern, aktualisieren wir diese Seite innerhalb von 30 Tagen.

5a. Cookies und lokaler Speicher

Diese Website setzt keine Werbe-, Marketing- oder Profiling-Cookies. Es findet keine geräteübergreifende Wiedererkennung statt. Eigene Cookies setzen wir nicht; beim Aufruf unserer Seiten wird kein Cookie gesetzt (zuletzt geprüft am 02.10.2026). Einen Einwilligungs-Banner zeigen wir deshalb nicht: Was wir auf Ihrem Gerät speichern oder auslesen, ist für eine von Ihnen ausdrücklich gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Im Einzelnen:

Sprachwahl: Im localStorage Ihres Browsers speichern wir Ihre Sprachpräferenz (DE/EN), damit der Sprachschalter beim erneuten Besuch funktioniert. Der Eintrag bleibt, bis Sie die Website-Daten in Ihrem Browser löschen. Auf der Vorschauseite unserer Gestaltung (/styleguide) merken wir uns auf dieselbe Weise die dort gewählte Farb- und Schriftvariante.
KI-Assistent (nur wenn Sie ihn nutzen): Im localStorage liegen der Verlauf Ihrer Unterhaltung (höchstens 60 Nachrichten, 30 Tage, jederzeit über „Verlauf löschen" entfernbar), die Zahl der bereits an uns übermittelten Nachrichten sowie, falls Sie im Startformular eine E-Mail-Adresse angegeben haben, diese Adresse mit Ihrer Angabe zum Marketing-Kontakt, damit der Verlauf Ihrer Anfrage zugeordnet werden kann und Sie das Formular nicht erneut ausfüllen müssen. E-Mail-Adresse und Angabe bleiben gespeichert, bis Sie die Website-Daten in Ihrem Browser löschen; „Verlauf löschen" entfernt sie nicht. Nur für die Dauer des Browser-Tabs (sessionStorage) merken wir uns, ob der Begrüßungshinweis schon gezeigt wurde, den Stand des Formulars und ob das Chat-Fenster nach einem Seitenwechsel wieder geöffnet werden soll.
Automatisierungs-Check (nur wenn Sie ihn nutzen): Nur für die Dauer des Browser-Tabs (sessionStorage) merken wir uns Ihre Angaben, das Ergebnis und dessen verschlüsselte Fassung, damit beides nach einem Neuladen der Seite oder nach dem Schließen des Terminfensters noch da ist. Mit dem Schließen des Tabs ist der Eintrag weg.
Schutz vor automatischen Anfragen (Cloudflare Turnstile, nur an geschützten Formularen): Öffnen oder verwenden Sie das Startformular des KI-Assistenten, den Website-Check, das Kontaktformular, das Feld „Eigener Text" der Demo „Vom Posteingang zum Auftrag" oder den letzten Schritt des Automatisierungs-Checks, lädt Ihr Browser das Skript von Cloudflare. Nach Angaben von Cloudflare führt es kleine, nicht sichtbare Prüfaufgaben in Ihrem Browser aus und liest dabei technische Merkmale des Browsers aus; Cloudflare bezeichnet diese Signale als unbedingt erforderlich, um automatische Anfragen zu erkennen und abzuwehren. Ein Cookie, das eine bestandene Prüfung speichert, setzt Turnstile nach der Dokumentation von Cloudflare in der Standardeinstellung nicht. Wir stützen diesen Zugriff auf § 25 Abs. 2 Nr. 2 TDDDG: Er ist erforderlich, um das von Ihnen aufgerufene Formular vor Missbrauch zu schützen. Wenn Sie das nicht möchten, erreichen Sie uns ohne diese Prüfung per E-Mail oder Telefon (siehe §1).
Demo „Vom Posteingang zum Auftrag" (nur wenn Sie sie nutzen): Im localStorage liegt die Sandbox der Demo: Kalender, Freigaben, Postausgang mit den dort gezeigten E-Mails (einschließlich der Angaben, die aus einem von Ihnen eingefügten Text gelesen wurden), Protokoll, eine zufällige Kennung der Demo-Sitzung und, falls Sie eine Adresse eingetragen haben, diese nur in gekürzter Form. Der Eintrag entsteht erst, wenn Sie die Demo verwenden, gilt höchstens sieben Tage und wird mit „Demo zurücksetzen" entfernt.
Hosting: Technisch notwendige Cookies werden ggf. durch unseren Hosting-Anbieter Vercel gesetzt, etwa zur Abwehr eines Angriffs. Diese sind nach § 25 Abs. 2 TDDDG einwilligungsfrei. Die Reichweitenmessung (Vercel Web Analytics, siehe §5.1) arbeitet ohne Cookies.
Sollten wir künftig Tracking-Cookies oder ähnliche Technologien einsetzen, implementieren wir vorher einen Consent-Banner mit Opt-in nach § 25 Abs. 1 TDDDG.

6. Pseudonymisierung und Audit-Logs

Für die Formulare, den KI-Assistenten, den Website-Check, den Automatisierungs-Check und die Demo dieser Website führen wir keine Audit-Logs; was dort gespeichert wird, steht in §2, §4a, §4b, §4c und §5.1. Die folgende Regel gilt für die WhatsApp- und Sprach-Kanäle (§4), die noch nicht aktiv sind. Audit-Logs werden mit pseudonymisierten Zusammenfassungen geschrieben. E-Mails, Telefonnummern, IBAN-Nummern und freie Texteingaben werden vor der Speicherung entfernt bzw. ersetzt. Klartext- Nachrichten landen nie in Audit-Tabellen.

7. Speicherdauer

Webhook-Ereignisse: 30 Tage.
Audit-Ereignisse: 180 Tage.
Terminbuchungen: 365 Tage nach Abschluss.
Anfragen in unserer Datenbank (Kontaktformular, Start und Kontaktwunsch im KI-Assistenten, bestätigte Berichtsanforderungen des Website-Checks mit E-Mail-Adresse, geprüfter Adresse und Ergebnis in Kurzform, bestätigte Berichtsanforderungen und Rückruf-Bitten des Automatisierungs-Checks mit E-Mail-Adresse beziehungsweise Name und Telefonnummer, Ihren Angaben und der Auswertung): sechs Monate, danach Löschung.
Protokoll der geprüften Adressen des Website-Checks und Tageszahlen zur Nutzung von KI-Assistent, Website-Check, Demo und Automatisierungs-Check (ohne Angaben zu Besuchern): sechs Monate.
Kurzlebige technische Einträge: Prüfergebnisse des Website-Checks höchstens 24 Stunden im Zwischenspeicher; Prüfwert der IP-Adresse für das Tageskontingent bis zum Ende des Tages, für Schnittstellen-Abrufe höchstens zwei Stunden, zum Schutz des Chats höchstens 15 Minuten; Merker für bereits verwendete Bestätigungslinks wenige Tage. Nicht bestätigte Berichtsanforderungen des Website-Checks speichern wir nicht; die des Automatisierungs-Checks liegen höchstens 48 Stunden verschlüsselt bereit (siehe §4c).
Demo „Vom Posteingang zum Auftrag": bestätigte E-Mail-Adresse, Sprache und Termine der Demo sieben Tage, bei Abmeldung, „Adresse entfernen" oder „Demo zurücksetzen" sofort; Prüfwert einer über den Link abgemeldeten Adresse sechs Monate; Zähler zur Begrenzung der Demo-E-Mails höchstens acht Tage; die Sandbox in Ihrem Browser sieben Tage.
Chat-Verlauf: in Ihrem Browser 30 Tage; in unserer Datenbank gar nicht. Weitere Einträge im Speicher Ihres Browsers: siehe §5a.
E-Mails: Benachrichtigungen über Anfragen, Chat-Verläufe und unsere Korrespondenz mit Ihnen liegen in unserem E-Mail-Postfach. Für sie gilt die Frist von sechs Monaten nicht automatisch; wir löschen sie, sobald sie für die Bearbeitung nicht mehr benötigt werden. Protokolle unserer Dienstleister (zum Beispiel Versandprotokolle des E-Mail-Dienstes, Server-Protokolle des Hosting-Anbieters) richten sich nach deren eigenen Fristen.
Gesetzliche Aufbewahrungspflichten, etwa für Geschäftskorrespondenz mit Kunden nach Handels- und Steuerrecht, können eine längere Speicherung einzelner Unterlagen erfordern; diese bewahren wir dann bis zum Ablauf der jeweiligen Frist auf (Art. 6 Abs. 1 lit. c DSGVO).
Opt-out-Liste: bis zum Widerruf der Abmeldung — gesetzlich notwendig.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Anfragen richten Sie bitte an info@rexity.ai. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Sie können sich zudem bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO); für uns zuständig ist der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

9. Kontakt

info@rexity.ai

Diese Datenschutzerklärung ist ein Entwurf zur juristischen Prüfung und wird vor Live-Schaltung der WhatsApp- und Sprach-Kanäle finalisiert.

Datenschutz­erklärung